가장 위험한 적은 안에 있습니다
방화벽, IDS, 엔드포인트 보안을 모두 갖추고도 뚫리는 경우가 있습니다. 문제가 이미 안에 있기 때문입니다.
Verizon DBIR 2024에서는 데이터 침해의 35%에 내부자(Internal actor)가 관여했습니다. 전년 20%에서 크게 오른 수치입니다. 다만 그중 73%는 오발송 같은 실수(Miscellaneous Errors)였습니다. DBIR 2025에서는 내부자 비중이 예년 수준으로 돌아왔고, 내부자가 낀 침해에서는 실수가 악의적인 권한 남용보다 약 2배 많았습니다.
DBIR은 정규직 직원·독립 계약자·인턴처럼 조직 안에서 일하는 사람을 내부자로, 공급사·외주 IT 업체 같은 협력사는 파트너로 따로 셉니다. 실무에서는 협력사 직원처럼 정당한 접근 권한을 가진 외부 인력까지 넓게 내부자 위험으로 봅니다.
내부자 위협의 세 가지 유형
DTEX Systems가 의뢰하고 Ponemon Institute가 조사한 2025 Cost of Insider Risks 보고서(349개 조직)는 내부자 사고를 세 갈래로 나눕니다.
1. 악의적 내부자
금전적 이익, 보복, 이직 준비 등의 동기로 의도적으로 데이터를 유출합니다. 전체 내부자 사고의 25%였습니다.
2. 부주의한 내부자
보안 정책을 무시하거나 실수로 데이터를 노출하는 경우입니다. 이메일 오발송, 클라우드 저장소 공개 설정, USB에 기밀 복사 등이 여기에 들어갑니다. 전체의 55%로 가장 많습니다.
3. 속은 내부자
피싱이나 악성코드에 속아 자격증명을 빼앗긴 직원의 계정이 악용되는 경우입니다. 보고서는 이를 '속은 내부자(outsmarted insider)'로 부르고 전체의 20%로 집계했습니다. 외부 공격이지만 내부자의 권한으로 실행되므로 탐지가 어렵습니다.
같은 보고서에서 조직당 내부자 위험의 연간 평균 비용은 1,740만 달러였고, 사고를 봉쇄하기까지 평균 81일이 걸렸습니다.
AI 기반 탐지 기술
같은 조사에서 응답 조직의 51%는 AI와 머신러닝이 내부자 위험 탐지·예방에 필수이거나 매우 중요하다고 답했습니다.
UEBA (User and Entity Behavior Analytics)
사용자의 정상 행동 패턴을 학습한 뒤, 일탈 행위를 자동 탐지합니다.
- 평소와 다른 시간대 접속
- 비정상적인 대량 파일 다운로드
- 접근 권한 밖의 리소스 시도
DLP + AI
데이터 손실 방지(DLP) 시스템에 AI를 결합하여 민감 데이터의 비정상 이동을 실시간 감지합니다.
네트워크 트래픽 분석
내부 네트워크 트래픽의 이상 패턴을 AI가 분석하여, 데이터 유출 징후를 조기에 포착합니다.
대응 전략
- 최소 권한 원칙: 업무에 필요한 최소한의 접근권만 부여
- 퇴직자 즉시 접근 차단: 계정·VPN·클라우드 접근 동시 해제
- 행위 모니터링: UEBA 도입으로 이상 행위 자동 탐지
- 보안 문화: 정기 교육과 신고 체계 마련
- 제로트러스트: 내부자도 지속적으로 검증
참고 자료